En bref : le célèbre tableau des temps de cassage indique qu’un mot de passe de 8 caractères mêlant tous les types de caractères demande 132 ans de force brute en 2026. Ce chiffre ne vaut que pour un mot de passe aléatoire, qui n’a jamais fuité et n’est pas protégé par la 2FA. Les vrais mots de passe sont rarement aléatoires, les attaquants essaient d’abord ceux qui ont fuité et les plus courants, et ceux-là tombent presque instantanément. Ce qui vous protège : un mot de passe long et aléatoire, généré par un gestionnaire de mots de passe, jamais réutilisé, avec la 2FA activée.
Ce que mesure le tableau
Chaque année, Hive Systems publie un tableau du temps qu’il faudrait à une attaque par force brute pour cracker un mot de passe, selon sa longueur et les types de caractères qu’il contient. L’édition 2026 suppose un attaquant bien équipé : 16 GPU RTX 5090 contre des mots de passe hachés avec bcrypt (facteur de coût 10).
- 8 lettres minuscules aléatoires : environ deux semaines.
- 8 caractères aléatoires de tous types (majuscules, minuscules, chiffres, symboles) : 132 ans.
Le chiffre ne cesse de baisser
Le même mot de passe de 8 caractères de tous types demandait 225 ans dans le tableau 2024, 164 en 2025 et 132 en 2026. Hive Systems l’estime à environ 20 à 25 % plus rapide chaque année, à mesure que le matériel progresse.
Le piège
Le tableau décrit le meilleur des cas. Selon Hive Systems lui-même, ses chiffres supposent des mots de passe générés aléatoirement, un mot de passe qui n’a fait partie d’aucune fuite passée, et une MFA absente ou contournée.
Un vrai mot de passe enfreint généralement au moins une de ces conditions : c’est un mot, un prénom et une année, ou un mot de passe déjà utilisé ailleurs et qui a fuité. Et les attaquants ne commencent pas par la force brute. Ils essaient tous les mots de passe courants et déjà divulgués avant de se donner la peine d’en cracker de nouveaux : un mot de passe courant, réutilisé ou tiré du dictionnaire peut tomber instantanément.
Les exemples de mots de passe de la vidéo (password123, summer2024!, qwerty) sont illustratifs, et ne proviennent pas d’une vraie liste de fuites.
Ce qui marche vraiment
- Long et aléatoire, généré par un gestionnaire de mots de passe.
- Ne réutilisez jamais un mot de passe. Une fuite doit ouvrir un seul compte, pas tous.
- Activez la 2FA. Le tableau des 132 ans suppose que vous ne l’avez pas fait.
Sources
- Hive Systems, Are your passwords in the green? (le tableau 2026 et ses hypothèses)
- Hive Systems, communiqué de presse, 14 juillet 2026
La vidéo est animée en code et le script a été écrit avec l’aide de l’IA ; chaque chiffre ci-dessus est vérifié auprès des sources. La vidéo est en anglais. Réalisée avec Shotloop, mon app Mac gratuite pour faire des vidéos explicatives en code, corrigées un plan à la fois.